Google e FBI smantellano la rete di proxy residenziali NetNut collegata a 2 milioni di dispositivi

Google afferma di aver collaborato con le autorità statunitensi e diversi partner della sicurezza per ridurre la portata di NetNut, un servizio di proxy residenziali che secondo i ricercatori era basato su una botnet di oltre 2 milioni di dispositivi. L'operazione ha coinvolto Google, l'FBI, Lumen, Shadowserver e altre organizzazioni, e segue un'analoga operazione di interruzione mirata alla rete di proxy IPIDEA all'inizio di quest'anno.

Secondo Google Cloud, NetNut era tra i maggiori fornitori del mercato dei proxy residenziali e sembra aver fatto ampio affidamento su piccoli dispositivi per lo streaming televisivo. I servizi di proxy residenziali instradano il traffico internet attraverso normali connessioni domestiche o consumer, facendo apparire le attività dannose come provenienti da indirizzi residenziali legittimi anziché da un data center o da un'infrastruttura di attacco nota.

Come veniva utilizzata la rete

Gli operatori dei proxy spesso reclutano i proprietari dei dispositivi sostenendo che possano guadagnare condividendo la larghezza di banda inutilizzata. In pratica, ciò può significare installare kit di sviluppo software o altri componenti sui dispositivi, che entrano così a far parte di una rete più ampia di nodi di uscita. Google ha avvertito che questo modello non solo favorisce la criminalità informatica, ma può anche creare rischi per la sicurezza all'interno delle reti domestiche.

Secondo quanto riferito, NetNut vendeva accesso autonomo ai proxy, oltre a servizi di proxy mobili e per data center, e commercializzava anche strumenti di scraping, set di dati e un programma per rivenditori. I ricercatori sospettano che alcune parti del più ampio ecosistema dei proxy residenziali possano aver dipeso dall'infrastruttura di NetNut, il che potrebbe ampliare l'impatto dello smantellamento.

Google ha dichiarato che, in una settimana di giugno 2026, ha osservato 316 distinti cluster di minacce utilizzare presunti nodi di uscita di NetNut. Tra questi gruppi figuravano sia attori criminali sia attività legate allo spionaggio. Gli utilizzi più comuni includevano nascondere l'origine del traffico dannoso, raggiungere i sistemi delle vittime, contattare infrastrutture controllate dagli aggressori ed eseguire attacchi di password spraying.

Impatto più ampio e prossimi passi

I ricercatori hanno inoltre rilevato possibili collegamenti tra NetNut e altre famiglie di botnet, inclusi componenti associati a Badbox 2.0. Secondo ulteriori informazioni pubbliche, infrastrutture collegate a NetNut sarebbero state utilizzate anche in infezioni basate su Mirai.

Google ha affermato di aspettarsi che l'interruzione colpisca più di un fornitore, ma ha anche avvertito che questo mercato può adattarsi rapidamente: quando i propri sistemi vengono colpiti, gli operatori a volte acquistano capacità dai concorrenti. L'azienda ha dichiarato che un'interruzione a lungo termine richiederà probabilmente un coordinamento continuo tra provider internet, piattaforme mobili e altre aziende tecnologiche.